사이버보안 소프트웨어 및 AI 보안: AI가 사이버보안을 재편: 단기 기회는 자동화된 대응에 집중되며, 장기 성장은 에이전트형 AI 보안과 신규 크로스플랫폼 공급업체가 주도할 수 있음

개요

Bernstein은 사이버보안 기업가이자 전 Palo Alto Networks 클라우드 및 AI 사업 리더인 Amol Mathur와의 논의를 바탕으로, AI가 보안 제품, 구매자 구조, 경쟁 구도 및 플랫폼화 경로를 어떻게 재편할지 분석한다. 핵심 결론은 AI가 기존 보안 운영을 강화하는 동시에 AI 에이전트를 보호하는 새로운 시장을 창출할 수 있으며, 신규 구매자를 겨냥하는 크로스플랫폼 AI 네이티브 공급업체와 스타트업이 더 유리한 위치를 차지할 수 있다는 것이다.

핵심 견해

보고서는 우선 AI를 기존 제품에 추가되는 일반 기능이 아니라 수십 년 만에 사이버보안에서 가장 중요한 아키텍처 변화로 정의한다. 기업들은 이사회 차원의 지시에 대응해 AI를 빠르게 도입하고 있지만, 보안팀은 관련 위험을 여전히 판단하고 있다. 이는 전통적인 보안 영역과 분리된 새로운 기업 내 구매 중심을 만들 수 있다. 보고서는 구매자가 아직 고착되지 않고 공급 환경이 여전히 그린필드인 이러한 환경이 스타트업에 유리하다고 본다. 신규 진입자들은 기존 제품군, 플랫폼 서사 또는 영업팀에 제약받지 않고 엔드포인트, 네트워크, 클라우드, ID, 애플리케이션 및 AI 시스템 전반의 데이터를 집계하는 중립적이고 “스위스 같은” 위치를 취할 수 있다. 반면 기존 공급업체는 “혁신가의 딜레마”에 직면할 수 있다. 기존 투자와 우선순위는 명확한 신규 제품 포지션을 확립하거나 기존 상업 조직을 활용해 신규 구매자에게 도달하는 일을 어렵게 만든다. 분석은 “보안을 위해 AI 사용하기”와 “AI 자체 보안”을 구분한다. 전자는 AI를 활용해 위협 탐지, 트리아지, 레드팀 테스트, 취약점 관리, 예방, 완화 및 대응의 효율성을 개선하는 것이다. 공격자가 AI를 사용해 공격 속도를 높이면서 보안 운영 센터 역시 기계에 가까운 속도로 대응해야 한다. 보고서는 보안 운영 결과를 위험 예방, 위험 완화, 탐지 및 대응의 세 가지 축으로 나눈다. 가장 두드러진 단기 기회는 실시간 완화와 탐지 및 대응에 있다고 결론짓는다. 이 활동들은 대량의 데이터, 복잡한 의사결정 및 엄격한 적시성 요건을 결합하므로 AI 자동화에 특히 적합하다. 시장에서는 AI를 위해 특별히 설계된 더 다양한 형태의 “DR” 및 탐지·대응 제품도 등장할 수 있다. “AI 자체 보안”은 특히 자율 에이전트를 포함한 AI 시스템의 보호를 의미한다. 에이전트는 프롬프트, 외부 콘텐츠, 도구 및 컨텍스트의 영향을 받을 수 있는 신뢰된 개체다. 그 행동이 권한이 있는 것으로 보이더라도 해를 끼칠 수 있어, 권한 없는 행동만 식별하는 전통적 접근법은 충분하지 않을 수 있다. 이에 따라 보고서는 에이전트 보안과 에이전트 ID라는 두 가지 장기 기회를 도출한다. Okta와 같은 ID 인프라 공급업체는 에이전트 ID와 권한의 기반을 제공할 수 있지만, 포괄적인 에이전트 보호는 실시간으로 의도를 이해해야 한다. 이상적으로 권한은 에이전트가 현재 수행 중인 특정 작업에 따라 동적으로 제한되어야 한다. 이를 위해 보안 제품은 프롬프트, 목표, 워크플로우 및 실제 행동을 관찰해야 하며, 에이전트 관측 가능성, 의도 분석 및 보호 분야에서 새로운 카테고리를 창출한다. 현대의 공격은 여러 보안 영역에 걸쳐 발생하는 반면, 엔드포인트, 네트워크, 클라우드, SASE 및 ID 도구는 각각 위험의 일부만 볼 수 있다. 네트워크 및 엔드포인트 공급업체는 자신들이 담당하는 차세대 SIEM 및 탐지·대응 시나리오에서 기회를 포착할 수 있다. 예를 들어 Palo Alto Networks는 네트워크 운영 또는 관련 플랫폼 구매자를, CrowdStrike는 엔드포인트 팀을 대상으로 할 수 있다. 그러나 보고서는 더 광범위한 증분 가치가 이러한 영역 상위에 위치한 크로스플랫폼 공급업체에 귀속될 수 있다고 본다. AI 네이티브 SOC 플랫폼은 에이전트를 자동화된 분석가로 활용하여 경보를 조사하고, 여러 시스템의 증거를 연계하며, 실제로 사람의 주의가 필요한 인시던트를 우선순위화함으로써 오랜 신호 대 잡음 문제를 완화할 수 있다. Torq, 7AI, Prophet 및 Dropzone 같은 신규 공급업체가 이러한 방향을 보여준다. 이러한 변화는 한 공급업체가 데이터와 분석 계층을 모두 통제하는 전통적 SIEM 모델을 언번들링할 수도 있다. Snowflake와 Databricks 같은 데이터 플랫폼은 고객이 기초 데이터를 통제하도록 유지하고, 그 위에서 독립 보안 분석 기능이 작동해야 한다고 주장한다. 이 아키텍처가 발전한다면 AI 네이티브 SOC 공급업체는 모든 보안 영역에 걸쳐 작동할 수 있고, 각 영역에서 생성된 보안 컨텍스트는 데이터 레이크 형태의 마스터 데이터 저장소에 중앙 저장될 수 있다. 이에 따라 경쟁의 초점은 개별 보안 제품이 무엇을 볼 수 있는지에서 누가 데이터를 집계하고, 컨텍스트를 이해하며, 높은 신뢰도의 결과를 생산할 수 있는지로 이동할 것이다. OpenAI와 Anthropic 같은 AI 연구소의 경우, 보고서는 이들의 초기 사이버보안 진입 동기가 자기보호라고 본다. 이들은 AI 코딩 에이전트가 안전하지 않은 코드를 생성하지 않도록 막고, AI 에이전트가 취약점 탐색이나 소셜 엔지니어링 공격에 사용될 위험을 줄여야 한다. AI 연구소는 애플리케이션 보안, 특히 코드 보안, 코드 스캐닝, 소프트웨어 테스트 및 취약점 우선순위화에 가장 집중할 가능성이 높다. AI 모델은 코드베이스 전반에서 추론하고, 악용 가능성을 평가하며, 실제로 중요한 취약점을 선별할 수 있어 고객이 특정 전문 도구에 별도로 비용을 지불해야 하는 이유를 재검토하게 할 수 있다. 코드 스캐닝 및 취약점 우선순위화 제품이 가장 큰 교란 압력에 직면한다. 그러나 보고서는 AI 연구소가 보안 운영, 탐지 및 대응, 또는 노출 관리와 같은 더 광범위한 영역으로 공격적으로 확장할 것으로 예상하지 않는다. 이러한 시장은 자체 전략적 위험을 해결하는 데 필수적이지 않고, 보안 도메인 전문성, 워크플로우, 통합 및 제품화에 상당한 투자가 필요하다. AI 연구소가 여전히 에이전트 시장 점유율과 제품 품질 경쟁을 우선시해야 하는 상황에서, 직접적인 전략적 필요가 없고 진입장벽이 높은 광범위한 보안 영역이 우선순위가 될 가능성은 낮다. 보고서는 또한 보안 제품이 위험을 발견하고 우선순위화하는 보안팀만을 대상으로 해서는 안 된다고 강조한다. 보안팀은 기업 내 “촉진자”인 반면, 개발자, DevOps 팀, 클라우드 운영 인력 및 기타 운영자는 실제로 완화를 수행하는 “실행자”다. 성공적인 제품은 이들 실행자가 독립형 보안 도구로 전환하도록 강제하기보다 보안 인사이트를 기존 워크플로우에 직접 내장해야 한다. Wiz는 보안팀과 DevOps 및 클라우드 운영 인력 모두를 위해 구축된 제품의 사례로 언급된다. 코드와 AI 에이전트 규모가 확대됨에 따라 실행자의 완화 부담은 계속 증가하며, 업무 수행 시점에 이용 가능한 보안 인사이트에 대한 수요를 높일 것이다. 따라서 AI는 일부 가치와 지출을 개발, DevOps 및 클라우드 운영 워크플로우에 더 가깝게 이동시킬 수 있다. AI 시대에도 플랫폼화는 유효할 수 있지만, 보고서는 플랫폼 가치에 더 엄격한 정의를 적용한다. 진정한 플랫폼은 통합 데이터 계층, 공통 분류 체계 및 통합 자동화 계층을 갖추고 인프라, 애플리케이션, 엔드포인트, 직원 및 AI 시스템 전반의 데이터를 연계할 수 있어야 한다. 이러한 공유 위험 컨텍스트는 위험 우선순위화, 완화 효율성 및 탐지·대응에서의 영향 범위 평가를 개선할 수 있다. 단순화된 공급업체 관리, 계약, 지원 및 인터페이스는 부차적 이점이다. 방화벽 관리와 SOC 팀 같은 고도로 전문화된 팀의 과업과 워크플로우는 상당히 다르므로 통합 인터페이스가 동일한 가치를 제공하지 않을 수 있다. 헤드리스 아키텍처와 유연한 AI 기반 상호작용이 등장함에 따라 고정 기능 인터페이스의 장기적 중요성은 더욱 낮아질 수 있다. 투자 관점에서 이 논의는 새로운 기술 아키텍처와 신규 구매자가 등장할 때 기존 공급업체가 제한적인 증분 가치만 확보할 수 있다는 Bernstein의 기존 견해를 뒷받침한다. 보고서는 “사이버보안을 위한 AI”와 “AI를 위한 보안” 양쪽의 스타트업을 계속 모니터링할 예정이며, 카테고리 리더는 독립성을 유지하고 궁극적으로 상장할 수 있는 반면 후발 업체는 시장 진입을 추구하는 대형 플랫폼이나 기존 공급업체에 인수될 수 있다고 본다. 이 논의는 Bernstein이 어떤 모델, 목표주가 또는 투자의견도 변경하도록 만들지 않았다.

분석 프레임워크

보고서는 클라우드 보안, 데이터 보안, 애플리케이션 보안, 엔드포인트 보안 및 보안 운영에서 20년 이상의 경험을 가진 기업가와의 인터뷰로 시작하며, 이 견해를 Bernstein의 기존 CISO 인터뷰 및 설문조사와 교차 검증한다. 분석은 먼저 “보안 개선을 위한 AI 사용”과 “AI 시스템 보호”를 구분한 뒤, 위험 예방, 위험 완화 및 탐지·대응 전반의 기회를 세분화한다. 이어 단일 보안 영역, 크로스플랫폼 공급업체, AI 연구소 및 스타트업의 경쟁적 위치를 비교하고, 마지막으로 구매 역할, 워크플로우 및 플랫폼 아키텍처가 가치 확보에 미치는 영향을 논의한다.

방법론 메모

• (분류체계 외 방법론)기타

  기업가 전문가 인터뷰와 CISO 조사 간 교차 검증

  보고서는 주로 베테랑 사이버보안 제품 리더의 업계 경험에 기반하며, 이전 CISO 인터뷰 및 설문조사에서 확인된 스타트업에 대한 기업의 수용성과 이 견해를 교차 검증한다.

• 경쟁 및 전략 프레임워크해자/경쟁우위

  보안 영역 전반에서의 중립적이고 “스위스 같은” 포지션

  보고서는 단일 제품 영역과 독립적인 크로스플랫폼 공급업체의 데이터, 컨텍스트 및 구매자 접근 역량을 비교하며, 기존 제품군에 제약받지 않는 중립적 공급업체가 경쟁우위를 구축하기 더 쉬울 수 있다고 결론짓는다.

• 경쟁 및 전략 프레임워크가치사슬 분석

  “촉진자”와 “실행자” 간 보안 워크플로우 분업

  보고서는 위험을 식별하고 우선순위화하는 보안팀과 실제로 완화를 수행하는 개발, DevOps 및 클라우드 운영팀을 구분하며, 이 구분을 통해 제품이 진입해야 할 워크플로우와 지출이 흐를 수 있는 지점을 판단한다.

• 경쟁 및 전략 프레임워크제품 수명주기

  신규 AI 보안 카테고리의 형성과 신규 및 기존 공급업체 간 경쟁

  신규 공격 표면, 신규 구매 중심 및 그린필드 공급 환경에서 출발해, 보고서는 에이전트 보안 같은 카테고리가 형성 단계에서 독립 제품 시장으로 발전하는 과정에서 스타트업, 카테고리 리더 및 기존 플랫폼이 수행할 수 있는 역할을 분석한다.

자산 매핑 및 비교

투자 논리에서 명시된 자산으로의 구조화 매핑(강점, 약점, 비교 대상, 위험).

• Palo Alto Networks

  기존 사이버보안 플랫폼으로서 자체 영역 내 차세대 SIEM 및 탐지·대응 시나리오에서 기회를 포착할 수 있지만, 신규 아키텍처와 구매자로부터 도전에 직면한 기존 업체를 대표하기도 한다.

  강점

  확립된 플랫폼, 데이터, 고객 관계 및 네트워크·클라우드 보안 역량을 보유한다.

  약점

  보고서는 기존 우선순위, 제품 투자, 플랫폼 서사 및 상업 조직이 혁신가의 딜레마를 만들 수 있다고 본다.

  비교

  단일 영역은 국지적 강점을 가지지만, 크로스플랫폼 “중립적” 공급업체는 다른 보안 영역의 데이터와 컨텍스트를 집계하기 더 쉬울 수 있다.

  위험

  신규 구매자는 새로운 베스트오브브리드 제품을 선호할 수 있으며, 기존 플랫폼에는 증분 가치 중 제한적인 비중만 남길 수 있다.

• CrowdStrike（CRWD）

  엔드포인트 보안 공급업체로서 담당 영역 내 AI 기반 탐지·대응 및 차세대 SIEM 기회의 수혜 위치에 있다.

  강점

  엔드포인트 팀에 서비스를 제공하고 자체 영역 내 보안 데이터와 컨텍스트를 활용할 수 있다.

  약점

  엔드포인트 관점은 크로스도메인 공격 체인의 일부만 포괄한다.

  비교

  엔드포인트, 네트워크, 클라우드 및 ID 전반에서 작동하는 AI 네이티브 SOC 플랫폼과 비교하면, 영역 간 가시성이 더 제한적일 수 있다.

  위험

  탐지·대응의 더 광범위한 증분 가치는 독립적인 크로스플랫폼 공급업체로 유입될 수 있다.

• Okta（OKTA）

  AI 에이전트를 위한 ID 및 권한 인프라를 제공할 수 있어 에이전트 ID 시스템의 중요한 참여자가 될 수 있다.

  강점

  에이전트 ID 및 권한 관리의 기반 계층을 제공할 수 있다.

  약점

  ID 인프라만으로는 에이전트 의도를 실시간으로 평가하기에 충분하지 않다.

  비교

  포괄적 에이전트 보안에는 프롬프트, 목표, 워크플로우 및 행동을 관찰하는 전문 보호 제품도 필요하다.

  위험

  신규 카테고리의 일부 가치는 에이전트 의도 분석과 관측 가능성을 전문으로 하는 공급업체가 확보할 수 있다.

• Torq, 7AI, Prophet 및 Dropzone 같은 AI 네이티브 SOC 공급업체

  전통적인 보안 영역 상위에 위치하며, AI 에이전트를 활용해 경보를 조사하고, 증거를 연계하며, 실제로 사람의 주의가 필요한 인시던트를 선별한다.

  강점

  보안 영역 전반에서 작동하며 중립적 위치에서 데이터와 컨텍스트를 집계할 수 있다.

  비교

  이들의 아키텍처는 공급업체가 데이터와 분석 계층을 모두 통제하는 전통적 모델과 달리, 기초 SIEM 또는 데이터 레이크에서 보안 분석을 분리한다.

  위험

  카테고리 리더와 후발 업체 간 격차가 크게 벌어질 수 있으며, 후자는 대형 플랫폼의 인수 대상이 될 수 있다.

• Snowflake、Databricks

  이 데이터 플랫폼들은 고객이 기초 보안 데이터에 대한 통제권을 유지하고 그 위에서 독립 분석 도구가 작동하도록 허용해야 한다고 주장한다.

  강점

  보안 영역 전반의 컨텍스트를 위한 마스터 데이터 또는 데이터 레이크형 저장 계층 역할을 할 수 있다.

  비교

  이 모델은 전통적 SIEM 공급업체가 데이터와 분석 계층을 모두 소유하는 번들 아키텍처에 도전한다.

• OpenAI와 Anthropic 같은 AI 연구소

  코드 보안, 코드 스캐닝, 소프트웨어 테스트 및 취약점 우선순위화를 통해 애플리케이션 보안에 진입할 가능성이 가장 높다.

  강점

  AI 모델은 코드베이스 전반에서 추론하고, 악용 가능성을 평가하며, 어떤 취약점이 실제로 중요한지 판단할 수 있다.

  약점

  더 광범위한 보안 운영, 탐지·대응 및 노출 관리에는 상당한 도메인 전문성, 워크플로우, 통합 및 제품화가 필요하다.

  비교

  애플리케이션 보안의 전문 공급업체에는 직접 도전할 수 있지만, 더 광범위한 보안 영역에 진입할 유인과 역량은 더 약하다.

  위험

  이들의 최우선 과제는 여전히 AI 에이전트 시장 점유율과 품질이므로, 광범위한 사이버보안 제품 개발이 우선순위가 될 가능성은 낮다.

핵심 데이터

• 인터뷰 대상자의 업계 경험20년 이상McAfee, Akamai, IBM 및 Palo Alto Networks에서의 이전 직무를 포함하여 클라우드 보안, 데이터 보안, 애플리케이션 보안, 엔드포인트 보안 및 보안 운영을 아우른다.
• 보안 운영 결과 프레임워크3개 축위험 예방, 위험 완화 및 탐지·대응.
• 핵심 단기 기회실시간 위험 완화 및 탐지·대응보고서는 이 영역의 데이터 규모와 의사결정 복잡성이 AI 기반 자동화에 특히 적합하다고 본다.
• 에이전트 보안 형성 기간향후 수년간보고서는 에이전트 보안, 에이전트 ID, 의도 이해 및 관측 가능성이 중요한 신규 카테고리로 발전할 수 있다고 예상한다.
• CRWD, OKTA 및 S 가치평가 기준 연도2026보고서의 주식 표는 이 세 종목이 2026년 기준임을 명시한다.
• 모델, 목표주가 및 투자의견 변경없음Bernstein은 해당 논의로 인해 어떤 모델, 목표주가 또는 투자의견도 변경되지 않았다고 명시했다.

영향과 시사점

보고서는 AI가 창출하는 산업 가치가 모든 사이버보안 공급업체에 균등하게 배분되지 않을 것으로 본다. 단기 가치는 자동화된 완화와 탐지·대응으로 유입될 가능성이 높으며, 장기 가치는 에이전트 ID, 의도 분석 및 보호로 이동할 수 있다. 크로스플랫폼 AI 네이티브 공급업체는 여러 보안 도메인의 데이터를 통합하고 신규 구매자에게 서비스를 제공할 수 있어 우위를 가진다. 기존 플랫폼도 자체 영역과 통합 데이터 계층을 통해 혜택을 볼 수 있지만, 전문 애플리케이션 보안 도구는 AI 연구소와의 직접 경쟁에 직면할 수 있으며, 플랫폼 가치는 통합 인터페이스보다 데이터와 자동화에 점점 더 의존하게 될 것이다.

위험

• AI는 공격 표면을 확대하고 공격 속도를 높인다. 신뢰된 에이전트가 표면상 합법적인 행동을 수행하더라도 프롬프트, 컨텍스트 또는 외부 데이터가 이들에게 영향을 미쳐 피해를 유발할 수 있다.
• AI 연구소는 코드 스캐닝과 취약점 우선순위화를 교란할 수 있으며, 고객이 특정 전문 애플리케이션 보안 제품에 대한 지출을 줄이게 할 수 있다.
• 혁신가의 딜레마, 플랫폼 서사와의 충돌 및 신규 구매자에게 도달하기 어려운 문제로 인해 기존 공급업체는 증분 AI 보안 가치 중 제한적인 비중만 확보할 수 있다.
• 개별 엔드포인트, 네트워크, 클라우드 또는 ID 제품은 완전한 크로스도메인 컨텍스트가 부족하며, 독립적으로 높은 신뢰도의 보안 결과를 생성하지 못할 수 있다.
• 보안 분석을 데이터 계층에서 분리하는 것은 전통적 번들 SIEM 모델에 도전할 수 있으며, 헤드리스 아키텍처는 고정 기능 인터페이스의 장기적 가치도 약화시킬 수 있다.

주시할 점

• “사이버보안을 위한 AI”와 “AI를 위한 보안”에서 독립적인 카테고리 리더가 등장하는지 모니터링한다.
• 기업이 전통적인 보안 영역과 독립된 AI 위험 중심의 새로운 구매 중심을 형성하는지 모니터링한다.
• 에이전트 ID, 의도 이해, 동적 권한 및 행동 관측 가능성이 명확히 정의된 제품 카테고리가 되는 시점을 주시한다.
• AI 네이티브 SOC 플랫폼이 보안 영역 전반에서 경보의 신호 대 잡음 비율을 개선하고 기초 데이터 계층에서 보안 분석의 분리를 촉진할 수 있는지 모니터링한다.
• AI 연구소의 코드 스캐닝 및 취약점 우선순위화 진입 깊이와 이들이 더 광범위한 사이버보안 영역으로 확장하는지를 주시한다.
• AI가 보안 지출을 SOC 워크플로우에서 개발, DevOps 및 클라우드 운영 워크플로우로 더 이동시키는지 모니터링한다.
• 플랫폼화의 가치가 통합 인터페이스에 의해 지배되기보다 통합 데이터 및 자동화 계층에 의해 계속 뒷받침되는지 주시한다.
• 카테고리 선도 스타트업이 독립성을 유지하고 상장하는 한편 후발 업체가 대형 기존 플랫폼에 인수되는 잠재적 경로를 모니터링한다.